Podstawowy mechanizm ochrony danych w sieci komputerowej przed nieuprawnionym dostępem to
A. autoryzacja dostępu do zasobów serwera.
B. wykonywanie kopii danych.
C. generowanie sum kontrolnych plików.
D. stosowanie macierzy dyskowych.
Pytanie z egzaminu CKE, czerwiec 2015 (arkusz E.13-X-15.05).
Autoryzacja dostępu do zasobów serwera jest podstawowym mechanizmem ochrony danych przed nieuprawnionym dostępem, bo decyduje o tym, kto i na jakich zasadach może korzystać z plików, katalogów, usług sieciowych, baz danych czy paneli administracyjnych. W praktyce wygląda to tak, że użytkownik najpierw jest uwierzytelniany, czyli system sprawdza jego tożsamość, np. loginem, hasłem, kluczem SSH, kartą inteligentną albo MFA. Dopiero potem następuje autoryzacja, czyli przydzielenie konkretnych uprawnień: odczyt, zapis, modyfikacja, usuwanie, dostęp do udziału sieciowego albo brak dostępu. Moim zdaniem to jedna z najważniejszych rzeczy w administracji, bo nawet najlepszy serwer bez kontroli uprawnień staje się zwykłym magazynem danych otwartym dla każdego. Dobre praktyki branżowe zalecają zasadę najmniejszych uprawnień, czyli użytkownik dostaje tylko te prawa, które są mu faktycznie potrzebne do pracy. W środowisku Windows będzie to np. konfiguracja uprawnień NTFS, grup w Active Directory i dostępu do udziałów SMB. W Linuksie podobną rolę pełnią prawa właściciela, grupy i innych użytkowników, ACL, sudo oraz konfiguracja usług. W sieciach firmowych stosuje się też role RBAC, segmentację sieci, polityki haseł, logowanie zdarzeń i okresowy przegląd kont. To wszystko razem ogranicza ryzyko wycieku danych, sabotażu albo przypadkowego skasowania ważnych plików. Kopie zapasowe, macierze RAID i sumy kontrolne są przydatne, ale nie zastępują kontroli dostępu.
W tym pytaniu łatwo pomylić różne mechanizmy ochrony danych, bo każdy z nich faktycznie ma coś wspólnego z bezpieczeństwem, ale nie każdy chroni przed nieuprawnionym dostępem. Generowanie sum kontrolnych plików służy głównie do sprawdzania integralności danych. Dzięki sumie kontrolnej można wykryć, że plik został zmieniony, uszkodzony podczas transmisji albo podmieniony. To jest bardzo przydatne przy pobieraniu obrazów ISO, aktualizacji systemu czy kontroli integralności archiwów, ale sama suma kontrolna nie blokuje dostępu osobie niepowołanej. Ktoś nadal może odczytać plik, jeśli ma do niego dostęp, tylko później da się zauważyć zmianę, o ile ktoś to sprawdza. Wykonywanie kopii danych to z kolei element strategii odzyskiwania po awarii. Backup pomaga po skasowaniu plików, ransomware, uszkodzeniu dysku lub błędzie użytkownika. Nie jest jednak mechanizmem kontroli dostępu, bo kopia zapasowa nie decyduje, kto może wejść na serwer i otworzyć zasób. Co więcej, źle zabezpieczony backup sam może stać się źródłem wycieku danych, więc powinien być szyfrowany i chroniony uprawnieniami. Stosowanie macierzy dyskowych, na przykład RAID 1, RAID 5 czy RAID 10, poprawia dostępność danych i odporność na awarię nośnika. To nie jest to samo co bezpieczeństwo przed osobą nieuprawnioną. RAID nie zastępuje backupu i nie zastępuje autoryzacji, tylko pozwala systemowi dalej działać mimo awarii jednego lub kilku dysków, zależnie od konfiguracji. Typowy błąd myślowy polega na wrzucaniu wszystkiego do jednego worka pod hasłem ochrona danych. W bezpieczeństwie trzeba rozróżniać poufność, integralność i dostępność. Przed nieuprawnionym dostępem chroni przede wszystkim kontrola dostępu, czyli uwierzytelnianie i autoryzacja użytkowników, najlepiej zgodnie z zasadą najmniejszych uprawnień oraz z regularnym audytem kont i uprawnień.